Der Einsatz generativer KI-Werkzeuge gehört in vielen Unternehmen längst zum operativen Alltag. Beschäftigte greifen auf Softwareassistenten zurück, um Kundenanschreiben zu entwerfen, Programmcode zu optimieren, Verträge zusammenzufassen oder Marktdaten auszuwerten. Häufig geschieht dies jedoch in einer rechtlichen Grauzone, da klare unternehmensweite Richtlinien, dokumentierte Risikoprüfungen und technische Sperren im Betrieb noch fehlen.

Diese Einordnung beleuchtet die wesentlichen rechtlichen Risiken beim betrieblichen Einsatz moderner KI-Systeme, ordnet die datenschutzrechtlichen Rahmenbedingungen ein und zeigt auf, wie Unternehmen praxistaugliche Leitlinien für ihre Teams etablieren.

Datenschutz und Datensicherheit bei KI-Systemen

Werden Informationen in webbasierte KI-Modelle eingegeben, verlassen diese den internen Schutzbereich der Unternehmensorganisation. Handelt es sich dabei um personenbezogene Daten von Kunden, Geschäftspartnern oder Mitarbeitern, bedarf jeder einzelne Verarbeitungsschritt einer tragfähigen Rechtsgrundlage nach der DSGVO. Eine unreflektierte Nutzung kostenloser Basisversionen stellt hierbei ein erhebliches bußgeldrechtliches Risiko dar.

Viele Anbieter nutzen eingegebene Inhalte standardmäßig zum fortlaufenden Modelltraining, sofern dies nicht durch gesonderte Verträge oder Unternehmenskonten ausdrücklich abbedungen wird. Dies stellt eine Zweckänderung der Datenverarbeitung dar, die den betroffenen Personen gegenüber kaum transparent dargestellt oder widerrufen werden kann. Die Betroffenenrechte auf Berichtigung oder Löschung lassen sich in trainierten neuronalen Netzen technisch kaum realisieren, was zu dauerhaften Konflikten mit den Aufsichtsbehörden führen kann.

Unternehmen müssen deshalb sorgfältig prüfen, ob mit dem jeweiligen Dienstanbieter eine Auftragsverarbeitungsvereinbarung besteht und ob Datentransfers in Drittländer auf wirksame Standardvertragsklauseln gestützt werden können. Fehlt ein solches Vertragswerk, drohen behördliche Beanstandungen und im Ernstfall Untersagungsverfügungen.

Schutz von Geschäftsgeheimnissen

Neben dem Datenschutz berührt der Softwareeinsatz den Schutz unternehmenseigener Betriebs- und Geschäftsgeheimnisse. Werden vertrauliche Kalkulationsdaten, Quelltexte, Marketingkonzepte oder Strategiepapiere unbedacht in Cloud-Systeme externer Anbieter übertragen, kann dies zum dauerhaften Verlust des gesetzlichen Geheimnisschutzes führen.

Das Geschäftsgeheimnisgesetz verlangt von Unternehmen den Nachweis angemessener Geheimhaltungsmaßnahmen als Voraussetzung für gerichtliche Unterlassungs- und Schadensersatzansprüche. Fehlen betriebliche Anweisungen, die das Einspeisen sensibler Unternehmensinhalte in frei zugängliche KI-Dienste untersagen, entfällt der gesetzliche Schutzanspruch gegenüber Wettbewerbern und ausscheidenden Mitarbeitern regelmäßig.

Unternehmen sind daher gehalten, verbindliche Positiv- und Negativlisten zu führen, die transparent darlegen, welche Kategorien von Arbeitsdaten über zugelassene Systeme verarbeitet werden dürfen und welche Informationen vertraulich bleiben müssen. Flankierend sollten Vertraulichkeitsvereinbarungen mit Dienstleistern auf Klauseln zum Ausschluss von KI-Trainingsdaten überprüft werden.

Diese Kennzahlen stehen für eine strukturierte Einbindung neuer Technologien in mittelständischen Organisationen. Die genaue Ausgestaltung folgt dem Risikoprofil und den technischen Gegebenheiten des Unternehmens.

Haftung für fehlerhafte Ergebnisse

Generative Modelle neigen zu plausibel formulierten Fehlern, sogenannten Halluzinationen. Übernehmen Mitarbeiter Berechnungen, rechtliche Zusammenfassungen oder technische Spezifikationen ungeprüft in Angebote, Verträge oder Auskünfte, haftet das Unternehmen Vertragspartnern gegenüber nach den allgemeinen vertraglichen Grundsätzen für Mängel und Pflichtverletzungen.

Die Geschäftsleitung haftet im Außenverhältnis nur in engen Ausnahmefällen persönlich, sieht sich intern jedoch Schadensersatzansprüchen der Gesellschaft ausgesetzt, wenn sie Organisations- und Aufsichtspflichten verletzt hat. Der Einsatz softwarebasierter Werkzeuge entbindet weder Organe noch Mitarbeiter von ihren berufsüblichen Sorgfaltspflichten. Interne Arbeitsanweisungen müssen deshalb unmissverständlich klarstellen, dass KI-Systeme lediglich vorbereitende Entwürfe liefern dürfen, niemals aber fertige Entscheidungen.

Vier-Augen-Prinzip und Qualitätskontrolle

Unternehmen sollten festlegen, dass sämtliche KI-generierten Arbeitsergebnisse vor ihrer geschäftlichen Weitergabe einer fachlichen Endkontrolle durch qualifizierte Mitarbeiter unterliegen. Insbesondere in der Softwareentwicklung empfiehlt sich ein gesondertes Vier-Augen-Review für jeden maschinell erzeugten Codeabschnitt, um Sicherheitslücken und Urheberrechtsverletzungen früh zu erkennen.

Zudem muss vertraglich geregelt werden, ob und in welchem Umfang gegenüber Kunden und Auftraggebern offengelegt werden muss, wenn Arbeitsergebnisse unter wesentlicher Beteiligung automatisierter Systeme entstanden sind.

Mitbestimmung und betriebliche Richtlinien

Führt ein Arbeitgeber Werkzeuge ein, die objektiv geeignet sind, das Verhalten oder die Leistung der Beschäftigten zu überwachen, steht dem Betriebsrat ein zwingendes Mitbestimmungsrecht zu. Dies betrifft viele moderne Produktivitätswerkzeuge, die Nutzungsstatistiken oder Reaktionszeiten der Anwender erfassen.

Eine praxistaugliche KI-Richtlinie definiert die erlaubten Programme, verbietet unautorisierte Schatten-IT und verpflichtet die Teams zu einem transparenten Umgang mit den eingesetzten Werkzeugen. Flankierende Schulungsmaßnahmen für alle Teams schärfen das Bewusstsein für Urheberrechte, Datenschutz und betriebliche Vertraulichkeit.

Regelmäßige Prüfungen zeigen zudem, ob die vertraglichen Zusicherungen der Systemanbieter mit den tatsächlichen Datenströmen im Betrieb übereinstimmen.

Handlungsbedarf für die Geschäftsleitung

Die Nutzung moderner Technologien bringt Effizienzgewinne mit sich, verlangt von der Unternehmensleitung jedoch ein aktives und dokumentiertes Risikomanagement. Abwarten oder reines Dulden schützt weder vor behördlichen Sanktionen noch vor zivilrechtlicher Haftung.

Mit klaren Nutzungsbedingungen, geregelten Freigabeprozessen und geschulten Mitarbeitern lässt sich der Einsatz künstlicher Intelligenz geordnet in den betrieblichen Alltag integrieren.

Hinweis: Allgemeine Information, keine Rechtsberatung. Demo-Inhalt.